Démonstration de CVE-2018-19131

• Auteur : Jonathan M. Wilbur <[email protected]>
• Année de copyright : 2018
• Licence : Licence MIT

Ne faites rien d'illégal avec ceci. Ce n'est pas un logiciel malveillant. C'est juste une preuve de concept.

Ceci est une démonstration de CVE-2018-19131, qui s'exécute dans une application Docker Compose.

Cette bibliothèque compile la version 3.5.27 de Squid, qui est vulnérable. La version 3.5.28 n'est pas vulnérable. Les versions particulières concernées sont listées ici.

Les tests ont réussi à la fois sur Windows 10 et sur Mac OS X Mojave.

Utilisation de la Preuve de Concept

N'exécutez pas ceci sur le même hôte que celui à partir duquel vous êtes configuré pour utiliser le proxy, car le proxy redirigera toutes les requêtes HTTP vers lui-même. Le client et le serveur doivent être deux machines distinctes.

Configuration du serveur

1. Clonez ce dépôt en exécutant git clone https://github.com/JonathanWilbur/CVE-2018-19131.git.
2. Entrez dans le répertoire en exécutant cd CVE-2018-19131.
3. Construisez l'application en exécutant docker-compose up.

• Cela prendra beaucoup de temps (environ 20 minutes), car il faut compiler Squid à partir de zéro.

Configuration du client

La configuration d'un proxy HTTPS est une chose tout à fait standard. Windows et MacOS l'ont. Linux a tout ce qu'il faut si vous êtes créatif. Je ne documenterai pas ici comment configurer un proxy, car cela est déjà documenté abondamment ailleurs. Configurez simplement votre ordinateur pour qu'il pointe vers le serveur sur lequel vous avez installé l'instance vulnérable de Squid.

Je noterai toutefois que vous devez utiliser un proxy HTTPS, et non HTTP. Sur MacOS, dans les paramètres Proxies, cela s'appelle un Secure Web Proxy. Windows ne fait pas cette distinction.

Exploitation

Accédez au site malveillant en vous connectant à https://web. Acceptez la première erreur de certificat, qui est simplement causée par le proxy qui intercepte le trafic HTTPS, puis vous verrez la page suivante, qui exécutera l'exploit. Vous devriez voir une alerte du navigateur web indiquant HACKED!.

Après avoir cliqué sur OK, vous verrez la page Squid par défaut pour un échec de connexion sécurisée. Vous remarquerez que le nom de l'émetteur/sujet affiché—qui sont une seule et même chose, car cela utilise un certificat auto-signé—ne comporte pas l'attribut commonName (CN). C'est parce que sa valeur était :

<script>alert("HACKED!");</script>

qui est interprétée comme du HTML brut et, par conséquent, le script est exécuté !

Voir aussi

• La page d'accueil de Squid
• L'entrée de la National Vulnerability Database (NVD) pour CVE-2018-19131

Me contacter

Si vous souhaitez suggérer des corrections ou des améliorations pour cette bibliothèque, veuillez simplement laisser un problème sur cette page GitHub. Si vous souhaitez me contacter pour d'autres raisons, veuillez m'envoyer un e-mail à [email protected] (Ma clé GPG) (Mon certificat TLS). 🐗